Droit à l'oubli numérique - Quel paramètre territorial ?

http://lib.uliege.ac.be http://matheo.uliege.be

Droit à l'oubli numérique - Quel paramètre territorial ?

Auteur : Libin, Louis

Promoteur(s) : Van Cleynenbreugel, Pieter

Faculté : Faculté de Droit, de Science Politique et de Criminologie

Diplôme : Master en droit à finalité spécialisée en droit des affaires (aspects belges, européens et internationaux) Année académique : 2017-2018

URI/URL : http://hdl.handle.net/2268.2/5001

Avertissement à l'attention des usagers :

Tous les documents placés en accès ouvert sur le site le site MatheO sont protégés par le droit d'auteur. Conformément aux principes énoncés par la "Budapest Open Access Initiative"(BOAI, 2002), l'utilisateur du site peut lire, télécharger, copier, transmettre, imprimer, chercher ou faire un lien vers le texte intégral de ces documents, les disséquer pour les indexer, s'en servir de données pour un logiciel, ou s'en servir à toute autre fin légale (ou prévue par la réglementation relative au droit d'auteur). Toute utilisation du document à des fins commerciales est strictement interdite.

Par ailleurs, l'utilisateur s'engage à respecter les droits moraux de l'auteur, principalement le droit à l'intégrité de l'oeuvre et le droit de paternité et ce dans toute utilisation que l'utilisateur entreprend. Ainsi, à titre d'exemple, lorsqu'il reproduira un document par extrait ou dans son intégralité, l'utilisateur citera de manière complète les sources telles que

mentionnées ci-dessus. Toute utilisation non explicitement autorisée ci-avant (telle que par exemple, la modification du document ou son résumé) nécessite l'autorisation préalable et expresse des auteurs ou de leurs ayants droit.

Département de Droit

Droit à l’oubli numérique – Quel paramètre territorial ?

Louis L

IBIN

Travail de fin d’études

Master en droit à finalité spécialisée en droit des affaires.

Année académique 2017-2018

Recherche menée sous la direction de : Monsieur Pieter VAN CLEYNENBREUGEL

RESUME

Le droit à l’oubli numérique est étroitement lié aux droits fondamentaux et plus précisément, le droit au respect de la vie privée qui peut s’opposer au droit à l’information, surtout lorsque, avec internet, l’information est à portée mondiale.

Le 13 mai 2014, la Cour de Justice de l’Union européenne (CJUE) consacrait le droit à l’oubli dans son arrêt Google Spain.

Le 25 mai 2018, le Règlement (EU) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel entre en application. L’article 17 du RGPD confirme la jurisprudence Google Spain et y entérine le droit à l’effacement (« droit à l’oubli »).

Le travail qui est proposé ici tentera de cerner le droit à l’oubli sous l’angle des quelques thématiques particulières et selon le plan présenté ci-après.

Après une introduction (partie I du travail) et après un rappel des fondements du droit à l’oubli et son évolution dû à la numérisation et l’arrivée de l’internet (partie II du travail), il sera question de cerner la problématique de l’étendue territoriale et des questions pratiques quant à son application (partie III du travail).

Enfin, dans la partie finale (partie IV du travail) nous tenterons une brève conclusion.

« Faut-il absolument maintenir le souvenir du passé ? Ne vaut-il pas mieux quelquefois oublier les guerres, les événements tragiques d'hier, afin d'éviter de nouveaux bains de sang ? Je ne sais vraiment pas quoi en

penser…

Peut-être l'oubli est-il préférable ».

Table des matières

I.- Introduction ... 4 II.- Fondements du droit à l’oubli numérique ... 6

A. Notion d’oubli 6

B. D’oubli judiciaire à oubli numérique 7

1) Le droit à l’oubli judiciaire 7

2) L’avènement du numérique 9

3) La problématique des moteurs de recherche 10

C. Consécration dans le Règlement (UE) 2016/679 (RGPD) 17

III.- Limite territoriale ... 20

A. Position du problème 20

B. Google Spain 21

C. Mise en œuvre pratique et nouvelles questions 22

1) Application par Google 22

2) Questions préjudicielles et aussi peut-être celles à envisager… ? 24

D. Champ rationae loci du RGPD 30

IV.- Conclusion ... 33 V.- Bibliographie ... 36

I.- I

NTRODUCTION

Les mégadonnées (Big Data) sont considérées aujourd’hui comme une des ressources la plus importante sur le globe.

Les données amassées en grande partie par les GAFAM1_{, font de ceux-ci les nouveaux maîtres} du monde.

Dans son ouvrage sur la guerre des intelligences le Dr. Laurent Alexandre écrit : « (i)ls ont

entre leurs mains les deux pouvoirs : celui de l’argent, et celui de la donnée, qui fondent le pouvoir politique – savoir, depuis toujours, c’est contrôler »2_.

Devenue un enjeu majeur, la gestion de ces données pousse les Etats à tenter de réguler le réseau. Ces tentatives de régulation posent d’importantes problématiques en termes d’élaboration et d’application du droit, en particulier au regard de l’exercice des souverainetés nationales3_.

Le droit à l’oubli numérique s’inscrit dans ces problématiques juridiques.

Dans ce travail, il est proposé d’aborder ces nouvelles questions (ou une partie, du moins) qui interrogent les juristes aujourd’hui.

Beaucoup d’encre a déjà coulé sur le sujet et nous posons ici un regard plus orienté sur la problématique de la portée du droit à l’oubli numérique sous l’angle de la territorialité ou son “effet utile”, ce qui revient quasi au même en l’espèce.

Le droit à l’oubli numérique est étroitement lié aux droits fondamentaux et plus précisément, le droit au respect de la vie privée qui peut s’opposer au droit à l’information, surtout lorsque, avec internet, l’information est à portée mondiale.

L’OCDE a jugé nécessaire d'élaborer des lignes directrices qui permettraient d'harmoniser les législations nationales relatives à la protection de la vie privée et qui, tout en contribuant au maintien de ce droit humain, empêcheraient que les flux internationaux de données ne subissent des interruptions.

Dans le document de l’OCDE contenant lignes directrices régissant la protection de la vie privée et les flux transfrontaliers de données à caractère personnel, on retiendra entre autres les considérations générales suivantes :

« On peut dire que les années 70 ont été marquées par une intensification des travaux de

recherche et des activités législatives concernant la protection de la vie privée eu égard à la collecte et à l'utilisation des données de caractère personnel. Il ressort de nombreux rapports officiels que les problèmes sont considérés avec sérieux au niveau politique, mais qu'en revanche il est difficile de concilier des intérêts antagonistes et peu probable que l'on y parvienne de façon définitive. L'opinion publique a été encline à s'axer sur les risques et incidence que comporte le traitement automatisé des données de caractère personnel et certains

1 _{Google, Apple, Facebook, Amazon, Microsoft.}

2 _{L.ALEXANDRE, La guerre des intelligences, JC Lattés, 2017.}

3 _{C. DE CLERCQ ET F.DECHAMPS, « Internet à l'épreuve du droit ou le droit à l'épreuve d'Internet – Une analyse au} regard de la problématique de l'étendue géographique du droit européen au déréférencement », J.T., 2017/34, n° 6704, p. 669-681.

pays ont décidé de promulguer des textes de loi qui traitent exclusivement de l'informatique et des activités fondées sur l'informatique. D'autres pays ont préféré aborder les questions de protection de la vie privée d'un point de vue plus général sans tenir compte de la technologie particulière de traitement de l'information en cause »4_.

Le 13 mai 2014, la Cour de Justice de l’Union européenne (CJUE) consacrait le droit à l’oubli dans son arrêt Google Spain.

Dans un arrêt du 29 mai 2016, la Cour de Cassation de Belgique a admis que, dans certains cas, les Cours et Tribunaux peuvent imposer à l’éditeur d’un article de presse une altération d’un texte archivé numériquement.

Le 28 juin 2017, outre-Atlantique, la Cour suprême du Canada obligeait Google à déréférencer des liens à l’échelle mondiale et donc optait pour une application « globale » du droit à l’oubli numérique.

Le 19 juillet 2017, dans un litige opposant la Commission nationale de l'informatique et des libertés de France (ci-après la CNIL) et Google, le Conseil d’Etat français a posé trois questions préjudicielles à la CJUE quant à la portée du « droit au déréférencement ».

Le 25 mai 2018, le Règlement (EU) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données, et abrogeant la directive 95/46/CE, ci-après nommé « RGPD » entre en application. L’article 17 du RGPD confirme la jurisprudence Google Spain et y entérine le droit à l’effacement (« droit à l’oubli »).

On le voit, le sujet interpelle et les positionnements évoluent rapidement partout, à différents niveaux.

Les développements qui suivent ont pour objectif de dresser un aperçu de la question telle qu’elle est appréhendée à ce jour, sans avoir la prétention d’être exhaustif et en accentuant l’approche sur le sujet du champ d’application territorial du droit à l’oubli numérique.

Ainsi, dans un premier temps, nous tenterons de cerner les fondements du droit à l’oubli. Ensuite, il sera question plus précisément des limites territoriales.

Nous terminerons en tentant une brève conclusion à ce stade de la réflexion.

4 _{OCDE, Recommandation du Conseil concernant les lignes directrices régissant la protection de la vie privée et} les flux transfrontières de données de caractère personnel, 23 septembre 1980, disponible sur

http://www.oecd.org/fr/sti/ieconomie/lignesdirectricesregissantlaprotectiondelaviepriveeetlesfluxtransfrontieresd edonneesdecaracterepersonnel.html.

II.- F

ONDEMENTS DU DROIT À L

’

OUBLI NUMÉRIQUE

A. N

’

Droit à l’oubli, droit à l’effacement, droit au déréférencement, … la littérature fait usage de différents termes.

Ces notions renvoient à des considérations variées du concept général « d’oubli ».

L’oubli peut être défini comme « le fait de ne plus tenir compte de quelque chose, de le

pardonner » ou en encore comme « l’effacement, la disparition des souvenirs et, en particulier, l’éloignement de certaines idées préoccupantes»5_.

L’oubli est lié à la mémoire. C’est l’effacement d’une information antérieurement acquise. Il s’agit d’un phénomène biologique6_.

Grâce à -ou à cause de- l’écoulement d’un certain laps de temps, notre cerveau va oublier les détails sans importance pour se focaliser sur ce qui compte vraiment dans nos prises de décisions quotidiennes7_.

Il paraît important de considérer d’emblée cette notion « d’oubli » dans le contexte de notre sujet, c’est à dire dans la sphère du numérique, de l’internet.

Contrairement à la mémoire humaine, la mémoire « numérique » n’oublie pas.

Dans un univers numérique, l’oubli ne pourrait donc pas résulter d’un processus naturel. Il s’agirait d’un processus conscient et désiré. Pour effacer une donnée dans un monde digital, il faut nécessairement prendre une décision8_.

Certains auteurs vont même plus loin et estiment qu’à l’aune du développement de l’intelligence artificielle, la suppression de données (« data deletion ») qui peut sembler être un sujet simple, pose de nombreux problèmes pratiques dans les environnements de machine

learning et que partant, les exigences de data deletion peuvent être considérées comme étant à

la limite de l'impossibilité9_.

Dès lors la notion « d’oubli numérique » serait un oxymore en ce que « l’oubli » résulte d’un processus biologique qui se produirait par l’écoulement d’un laps de temps et qui serait inconciliable avec le « numérique » qui ne possède pas cette vertu de la mémoire.

5 _{Définition du dictionnaire Larousse (2017).} 6_{http://sciences-cognitives.fr/quest-ce-que-loubli/}

7_{B.RICHARDS,P.FRANKLAND,« The Persitence and The Transience of Memory », Neuron, 21 juin 2017.} 8 _{C.DE TERWANGNE,« Droit à l’oubli numérique élément du droit à l’autodétermination informationnelle ? », in}

Le droit à l’oubli numérique : données nominatives – approche comparative (sous la dir. de D.DECHENAUD),

Larcier, 2015.

9 _{E.VILLARONGA,P.KIESEBERG,T.LI, « Humans forget, machines remember: artificial intelligence and the right} to be forgotten », Computer Law & Security Report, Octobre 2017.

B. D’

1) Le droit à l’oubli judiciaire

En réalité, le droit à l’oubli est une question ancienne dont son importance et sa difficile application ont ressurgi avec l’avènement d’internet.

Dans un premier temps, les demandes relatives au droit à l’oubli concernaient le domaine judiciaire. Le droit à l’oubli judiciaire permet à une personne de « s’opposer à la reprise (…)

d’informations qui dans leur temps furent licitement révélées au public mais dont l’actualité ne justifie plus la diffusion »10_.

Dans cette acceptation, le droit à l’oubli judiciaire permettrait à des personnes de requérir que leur passé judiciaire ne soit pas continuellement ramené dans les médias afin de faciliter la réinsertion sociale11_.

Initialement, ce droit à être oublié s’est construit de façon jurisprudentielle dans des affaires concernant la presse dite « traditionnelle »12_{. Il constitue une restriction à la liberté de la presse.} Cette prérogative d’être ainsi oublié nécessite deux conditions cumulatives.

Une première divulgation licite suivie d’une deuxième divulgation également licite.

Le droit à l’oubli ne sera dès lors envisageable que si un certain laps de temps sépare les deux divulgations.

A côté de ces conditions, d’autres paramètres entrent en jeu, à savoir l’intérêt historique des informations rappelées (le devoir de mémoire), l’intérêt contemporain des informations rappelées, le degré d’exposition de la personne visée, le type d’informations rappelées, l’intérêt à la resocialisation de la personne condamnée et l’apurement de la dette de la personne visée par le rappel13_{. Il s’agit d’une liste non exhaustive, tirée de critères posés par la jurisprudence} 14_.

10 _{Définition d’A.LEPAGE, D.,2001, somm., p. 2079.}

11 _{F.JONGEN, A.STROWEL., « Section 2. - Droit à l’oubli et à l’anonymat » in Droit des médias et de la} communication, Bruxelles, Éditions Larcier, 2017, p. 398-413.

12 _{Presse écrite et audiovisuelle.} 13 _{Voy.à titre d’illustrations, :}

- la condamnation solidaire d’un journaliste, d’un éditeur de journal et l’éditeur responsable ainsi que le responsable de la rubrique pour avoir rappelé le passé judiciaire de la victime ; ce rappel étant jugé inopportun. Le tribunal de Namur reconnaît clairement l’existence d’un droit au silence et à l’oubli, « considéré comme étant celui qui permet à l’individu dont la vie n’est pas consacrée à une activité publique, d’exiger le secret et la tranquillité sans lesquels le libre développement de sa personnalité serait entravé » (Civ. Namur (1re ch.), 17 novembre 1997,

J.L.M.B., 1998, p.781).

- la condamnation d’une chaîne de télévision locale pour avoir mentionné à plusieurs reprises dans une émission le rappel de faits de vols de chandeliers datant de 10 ans, le nom du voleur (Civ. Namur (1re ch.), 27 septembre 1999, A&M, 2000/4, p. 471).

14 _{E.CRUYSMANS, « Oubliez-moi ! Droit à l’oubli, déréférencement, anonymisation et archives numériques », in}

Human Rihts as a Basis for Reevaluating and Reconstructing the Law (A.HOC,S.WATTIER ET G.WILLEMS eds.), Bruxelles, Bruylant, 2016.

Ce droit à l’oubli se fonde sur une confrontation entre deux libertés fondamentales : d’une part le droit à la vie privée et le droit à la liberté d’expression, d’autre part.

Au niveau européen le droit au respect à la vie privée et familiale est traduit à l’article 8 de la Convention européenne des Droits de l’Homme15 _{(ci-après CEDH) de même qu’à l’article 7 de} la Charte des droits fondamentaux de l’Union européenne16_.

Quant à l’article 8 de la Charte, il consacre formellement la protection des données à caractère personnel17_.

Le droit à la liberté d’expression se lit à l’article 10 de la CEDH18 _{et l’article 11 la Charte des} droits fondamentaux de l’Union européenne consacre la liberté de donner ou recevoir des informations19_.

Ces droits doivent être mis en balance en retenant le principe qu’il n’y a pas de hiérarchie dans les droits fondamentaux tels que la liberté d’expression de la presse, d’une part, le droit au respect de la vie privée, d’autre part20_.

C’est ainsi que le droit à l’oubli judiciaire est modulé.

15 _{Article 8 CEDH: « 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa}

correspondance. 2. Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui ».

16 _{Charte des Droits Fondamentaux de l’Union européenne, n°2000/C 364/01, article 7 : « Respect de la vie privée}

et familiale : Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications ».

17 _{Charte des Droits Fondamentaux de l’Union européenne, n°2000/C 364/01, article 8 : « 1. Toute personne a}

droit à la protection des données à caractère personnel la concernant. 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. 3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante ».

18 _{Article 10 CEDH : « 1. Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion}

et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontière. Le présent article n’empêche pas les Etats de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d’autorisations. 2. L’exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l’intégrité territoriale ou à la sûreté publique, à la défense de l’ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d’autrui, pour empêcher la divulgation d’informations confidentielles ou pour garantir l’autorité et l’impartialité du pouvoir judiciaire ».

19 _{Charte des Droits Fondamentaux de l’Union européenne, n°2000/C 364/01, article 11 : « 1. Toute personne a}

droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontières. 2. La liberté des médias et leur pluralisme sont respectés ».

2) L’avènement du numérique

Après avoir rapidement passé en revue les fondements du droit à l’oubli judiciaire dans un environnement où l’accès à l’information n’était pas aussi simple comme il l’est aujourd’hui (à la portée d’un simple « clic »), nous allons à présent voir comment ce droit évolue, voire se transforme, avec l’arrivée de l’internet.

Les premières questions se sont posées à propos de l’archivage numérique et de l’apparition d’une presse électronique.

La Cour Européenne de Droits de l’homme dans son arrêt Times Newspapers Limited (n° 1 et

2) c. Royaume-Uni21_{, a jugé que les archives internet relèvent bien des contenus protégés par}

l’article 10 de la Convention européenne des droits de l’homme qui consacre le droit à la liberté d’expression. Elle déclare que « la mise à disposition d’archives sur Internet contribue

grandement à la préservation et à l’accessibilité de l’actualité et des informations. Les archives en question constituent une source précieuse pour l’enseignement et les recherches historiques, notamment en ce qu’elles sont immédiatement accessibles au public et généralement gratuites »22_.

Dès lors que la juridiction considère l’archivage numérique des articles de presse comme une activité fondamentale, protégée par la liberté d’expression et le droit à l’information, il semble que le droit « à être oublié » devient plus compliqué.

Il faut reconnaître que la technique de mise en ligne des archives permet une accessibilité sans commune mesure avec celle des archives papier23_.

La Cour ajoute cependant que « les Etats bénéficient probablement d’une latitude plus large

pour établir un équilibre entre les intérêts concurrents lorsque les informations sont archivées et portent sur des événements passés que lorsqu’elles ont pour objet des événements actuels. A cet égard, le devoir de la presse de se conformer aux principes d’un journalisme responsable en vérifiant l’exactitude des informations publiées est vraisemblablement plus rigoureux en ce qui concerne celles qui ont trait au passé – et dont la diffusion ne revêt aucun caractère d’urgence – qu’en ce qui concerne l’actualité, par nature périssable »24_.

En 2012, dans l’affaire Axel Springer ag c. Allemagne25_{, s’agissant de la mise en balance du}

droit à la liberté d’expression et du droit au respect de la vie privée, la Cour confirme sa jurisprudence en jugeant qu’en dépit de la marge d’appréciation dont disposent les Etats contractants en la matière, il y avait eu violation de l’article 10 au motif « qu’il n’y avait pas en

l’espèce de rapport raisonnable de proportionnalité entre, d’une part, les restrictions au droit

21 _{Cour eur. D.H., 10 mars 2009, aff. Times Newspapers Limited (n° 1 et 2) c. Royaume-Uni, req. n°3002/03 et} 23676/03.

22 _{Cour eur. D.H., 10 mars 2009, aff. Times Newspapers Limited (n° 1 et 2) c. Royaume-Uni, op. cit., point 45.} 23 _{Civ. Neufchâteau (2}ième _{ch.), 25 janvier 2013, A&M, 2013/6, pp. 489-491.}

24 _{Cour eur. D.H., 10 mars 2009, aff. Times Newspapers Limited (n° 1 et 2) c. Royaume-Uni, op. cit., point 46.} 25 _{Cour eur. D.H., 7 février 2012, aff. Axel Springer ag c. Allemagne, req. n° 39954/08.}

de la société allemande à la liberté d’expression imposées par les juridictions nationales et, d’autre part, le but légitime poursuivi »26 _.

En Belgique, la doctrine précise que « dans ce nouvel univers, le droit à l’oubli ne peut primer

sur le droit à l’information : le choix actuel est celui de la valorisation et de l’exploitation des archives écrites ou audiovisuelles. Ces réalisations sont faites, dans un intérêt commun, en faveur de la libre circulation des archives et partant du principe d’une autorisation tacite de la personne d’accepter que son image, sa voix ou son histoire puisse être réutilisé sur d’autres supports »27_.

Les Cours et Tribunaux restent hostiles aux demandes de suppression de toute trace d’une publication sur l’internet.

Ainsi, la Tribunal de première instance de Bruxelles28_{, a refusé de faire droit à la demande d’une} personne fautivement mise en cause dans un article d’un journal hebdomadaire, de retirer purement ledit article des archives du journal. Le renvoi à un article ultérieur corrigeant l’erreur a été jugé suffisant.

Certains palliatifs au refus de suppression pur et simple semblent avoir été trouvés, notamment par le biais de demandes d’anonymisation des personnes visées29_.

3) La problématique des moteurs de recherche

Comme déjà dit, il suffit de quelques « clics » pour (re)trouver une série d’informations personnelles archivées sur internet. Aujourd’hui, les recherches sont d’autant plus rapides grâce aux puissants moteurs de recherche.

En effet, la grande majorité des personnes souhaitant trouver une information sur le web, passe préalablement par un moteur de recherche.

La capacité quasi sans limite de ces outils ratissant en quelques microsecondes les méandres de l’internet, justifie pleinement la revendication d’un droit à l’oubli sous un angle nouveau. Le monde numérique demande une adaptation des éléments vus précédemment.

Premièrement, ce n’est pas (plus) tant l’oubli d’un passé judiciaire qui est nécessairement revendiqué mais plus généralement, un régime de protection des données personnelles30_. Ceci nous conduit à considérer « le droit à l’oubli » : « comme l’ensemble des instruments

juridiques – éventuellement renforcés par des outils technologiques qui permettent au citoyen

26 _{La requérante, éditeur d’un quotidien à grand tirage, se plaignait de l’interdiction qui lui avait été faite de rendre} compte de l’arrestation et de la condamnation d’un acteur connu qui avait enfreint la législation sur les stupéfiants. 27 _{S.HOEBEKE,B.MOUFFE,Le droit de la presse, 3}e _{éd., Anthemis, 2012, p514.}

28 _{Civ. Bruxelles (14}ème _{ch.), 2 décembre 2003, A&M, 2004, p.372.}

29 _{Civ. Liège, (4}ième _{ch.), 03 novembre 2014, J.L.M.B., 2014/41, p. 1961-1971. ; Civ. Neufchâteau (2}ième _{ch.), 25} janvier 2013, J.L.M.B., 2013, n° 22, p. 1182. Voy. développements infra.

30 _{C.DE TERWANGNE,« Droit à l’oubli numérique élément du droit à l’autodétermination informationnelle ? », in}

Le droit à l’oubli numérique : données nominatives – approche comparative (sous la dir. de D.DECHENAUD), Larcier, 2015.

d’obtenir ou de retrouver la maîtrise31 _{de ses données personnelles, dès lors qu’elles ont été}

dispersées, que ce soit volontairement ou involontairement. Sans pour autant cantonner ce « droit » à la seule sphère numérique, il va de soi que les instruments juridiques dont il est question sont, dans la plupart des cas, mis au service du «cybercitoyen» qui souhaite récupérer le contrôle des données éparpillées sur Internet »32_.

Il semble bien que l’on passe d’un véritable « droit à être oublié » vers un droit de « maîtrise » de ses données personnelles33_.

La Cour européenne de Droits de l’homme a d’ailleurs confirmé que « toute personne doit

pouvoir bénéficier du droit d’accès aux données la concernant qui font l’objet d’un traitement, afin de s’assurer notamment de leur exactitude et de la licéité de leur traitement ». Conformément à ces principes, les personnes concernées doivent avoir le droit, en vertu de la législation nationale, d’obtenir du responsable du traitement la rectification, l’effacement de leurs données »34_.

Il s’agit dès lors pour un individu de s’approprier – se réapproprier – et conserver, une forme de contrôle sur des informations qui ont trait à sa vie privée ainsi que sur des données ayant un caractère personnel35_.

On parlera d’«auto-détermination sur l’information»36_.

Pour s’en convaincre, il suffit de se référer à la consécration jurisprudentielle de ce droit par la Cour de Justice de l’Union Européenne dans son arrêt Google Spain.

L’Arrêt Google Spain

L’arrêt de la Cour de Justice de l’Union européenne du 13 mai 2014 souvent cité sous l’appellation « Google Spain »37_{, est à ce jour la référence jurisprudentielle européenne sur la} question du droit à l’oubli numérique.

31 _{C’est moi qui souligne.}

32 _{F.JONGEN, A.STROWEL., « Section 2. - Droit à l’oubli et à l’anonymat » in Droit des médias et de la} communication, Bruxelles, Éditions Larcier, 2017, p. 398-413.

33 _{Règlement (UE) 2016/679, article 4, 1) : « données à caractère personnel : toute information se rapportant à}

une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; »

34 _{Cour eur. D.H., arrêt C. c/ Turquie, 18 novembre 2008, req. n°22427/04.}

35 _{E.CRUYSMANS, « Oubliez-moi ! Droit à l’oubli, déréférencement, anonymisation et archives numériques »,}

op. cit., p.405.

36 _{C. DE TERWANGNE, « Droit à l’oubli ou droit à l’autodétermination informationnelle ? », in Le droit à l’oubli}

numérique (D. DECHENAUD dir.), Bruxelles, Larcier, 2015.

37 _{Règlement (UE) n°2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes} physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

Il est fort à parier qu’il ne s’agit que d’une étape d’une jurisprudence, qui selon toutes vraisemblances connaîtra des évolutions constantes, et certainement non encore prévisibles. D’emblée, il y a lieu déjà de souligner que cet arrêt répond à des questions préjudicielles concernant la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après la « Directive 95/46 »).

Or, cette Directive 95/46 est abrogée avec effet au 25 mai 2018 par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données – ci-après le « RGPD »)38_.

Les questions posées à la Cour concernaient :

1. Le champ d’application territorial de la Directive 95/46, 2. Son champ d’application matériel et

3. La portée des droits de la personne concernée garantis par la directive 95/46. La question relative au champ d’application territorial sera développée séparément39_.

Cela étant précisé, les questions du champ d’application matériel et de la portée des droits garantis ne sont pas négligées pour autant.

Préalablement à l’examen des réponses données par la Cour, il est nécessaire de rappeler ci-après en quelques mots, les faits à la base de cette affaire et ce pour faciliter la compréhension du contexte et le raisonnement en droit.

Les faits peuvent être résumés comme suit.

CG, citoyen espagnol, s’est plaint auprès de l’autorité espagnole compétente de ce que, lorsque son nom était introduit dans le champ d’une requête du moteur de recherche Google, les internautes étaient renvoyés vers deux pages d’un quotidien contenant une annonce pour une vente aux enchères liée à une saisie à son encontre et qui, selon lui, était une affaire réglée depuis plusieurs années.

CG demandait d’une part, que le quotidien modifie ou supprime l’annonce pour que son nom n’apparaisse plus ou qu’à tout le moins, les données personnelles le concernant soient protégées, et que Google d’autre part, intervienne pour que les requêtes de recherche à partir de son nom ne donnent plus de résultat dirigé vers les pages du quotidien contenant les données personnelles dont question ci-dessus.

L’autorité nationale espagnole saisie de la réclamation n’a retenu que le volet de celle-ci en tant que dirigée contre Google en estimant notamment que « les exploitants de moteurs de recherche

sont soumis à la législation en matière de protection des données, étant donné qu’ils réalisent

38 _{Article 94 du RGPD.}

un traitement de données pour lequel ils sont responsables et qu’ils agissent en tant qu’intermédiaires de la société de l’information »40_.

Il convient de préciser que la plainte visait à la fois Google en Espagne et Google international, deux entités juridiques différentes.

Chacune des deux entités de Google a introduit séparément un recours contre cette décision devant la juridiction nationale compétente qui a posé les questions préjudicielles à la Cour. Concernant la question préjudicielle relative au champ d’application matériel de la Directive 95/46, la Cour répond en substance ce qui suit.

Premièrement, elle rappelle sa jurisprudence interprétant la notion de « traitement de données à caractère personnel » au sens de la Directive 95/46 : l’opération consistant à faire figurer sur une page Internet, des données à caractère personnel relève de ladite notion41_.

Ensuite, la Cour retient que :

- la notion englobe «l’activité d’un moteur de recherche consistant à trouver des

informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné (…) lorsque ces informations contiennent des données à caractère personnel»42_;

- l’exploitant d’un tel outil doit être considéré comme le « responsable du traitement »11_. Concernant la question préjudicielle portant sur les droits de la personne concernée garantis par la directive 95/46, l’arrêt souligne que l’écoulement du temps peut transformer le caractère licite d’un traitement de données exactes en un traitement illicite « lorsque ces données ne sont

plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées »43_. Par ailleurs, à propos de l’étendue de la responsabilité de l’exploitant d’un moteur de recherche en vertu de la directive 95/46, la Cour développe un raisonnement à partir du « niveau élevé de

protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel » visé par l’article 1er et

du considérant 10 de la Directive 95/4644_.

Ensuite, il est fait référence aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne45_.

L’article 7 garantit le respect de la vie privée et familiale, du domicile et de ses communications. Quant à l’article 8, il dispose :

« 1. Toute personne a droit à la protection des données à caractère personnel la concernant.

40 _{Point 17 de l’arrêt.}

41 _{C.J.C.E, 6 novembre 2003, Lindqvist, C-101/01, point 25.} 42 _{Point 41 de l’arrêt.}

43 _{Point 93 de l’arrêt.}

44 _{Point 66 de l’arrêt et la jurisprudence citée.}

2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.

3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante ».

La Directive 95/46 décline ces droits fondamentaux dans ses articles 6, 7, 12, 14 et 28. Sur base de ces textes, la Cour poursuit son raisonnement.

Elle considère que le droit d’obtenir du responsable du traitement la rectification, l’effacement ou le verrouillage, selon les cas, n’est pas limité au seul motif du caractère incomplet ou inexact des données46_.

Les droits consacrés à l’article 12 de la Directive 95/4647 _{(mais également le droit d’opposition} visé à l’article 14) peuvent donc être également exercés en raison d’autres conditions que celles libellées sous l’article 6.1.d).

Et la Cour de conclure sur la nécessaire : « (…) pondération des droits et des intérêts opposés

en cause dans le cadre de laquelle il doit être tenu compte de l’importance des droits de la personne concernée résultant des articles 7 et 8 de la Charte »48_.

Il convient de souligner que la Cour qualifie de « gravité potentielle » l’ingérence dans les droits fondamentaux des personnes (articles 7 et 8 de la Charte) qui consiste, à partir d’une requête dans un moteur de recherche sur la base des noms et prénoms, d’obtenir le profil d’une personne et ce, avec un effet démultiplié en raison des fonctionnalités d’internet, rappelant que ce résultat ne serait pas aisé à obtenir sans le moteur de recherche.

Selon la Cour, les autorités nationales saisies par un plaignant sont donc compétentes pour ordonner à l’exploitant du moteur de recherche la suppression de la liste de résultats les liens vers des sites internet de tiers contenant des informations relative au plaignant, sans condition préalable (ou simultanée) qui consisterait à ce que l’éditeur du texte contenant les informations et publié sur internet, ait supprimé de gré ou de force (par décision de justice) les noms et prénoms de la personne protégée.

En synthèse, la Cour reconnaît dans cette affaire le droit pour un justiciable à s’opposer à l’indexation de ses données personnelles par un moteur de recherche. Il ne s’agit pas tant d’une question d’effacement du passé et donc d’oubli, mais plutôt de déréférencement. L’article archivé est toujours disponible sur le net ; seul son accès sera rendu plus complexe car le lien n’apparaitra plus dans les résultats du moteur de recherche suivant une simple requête.

Ceci conduit à considérer que le droit à l’oubli va bien au-delà du lien entre le passé et le présent.

46 _{Le texte de l’article 12 b) de la directive 95/46 dispose « notamment en raison de… ».}

47 _{L’article 12 garantit les droits que les personnes concernées peuvent obtenir du responsable du traitement de} leurs données et en particulier, le droit d’obtenir du responsable du traitement, selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme, « notamment en raison du caractère incomplet ou inexact des données » (article 12.b).

Il s’agit plutôt d’établir un équilibre entre la libre communication de l’information et l’autodétermination individuelle49_.

Arrêt de la Cour de cassation du 29 avril 2016

En Belgique, la Cour de cassation s’est prononcée sur le droit à l’oubli numérique suivant un raisonnement intéressant qui apporte une réponse à la problématique territoriale du droit à l’oubli numérique.

L’affaire commence en 2010. Par le biais de son conseil, un médecin à propos duquel un article de presse était archivé numériquement sur le site d’un quotidien national belge et accessible par requête sur Google (et d’autres moteurs de recherche) avec son nom et prénom, demandait la suppression dudit article qui relatait sa condamnation ensuite d’un accident de roulage ayant provoqué la mort de deux personnes et des blessures à d’autres. Il était en état d’ivresse au moment des faits. Par la suite, il avait été réhabilité.

Le médecin s’estimait lésé par cette publication toujours accessible via des moteurs de recherche via l’introduction de son nom et ce, des années après les faits. Il a sollicité le retrait de l’article ou son déréférencement au moins, en s’adressant au directeur juridique du journal, sans succès.

Il a ensuite introduit une action judiciaire contre l’éditeur responsable du quotidien.

Condamné par le Tribunal de Première Instance a « anonymiser » l’article litigieux50_{, l’éditeur} a interjeté appel de la décision.

Par arrêt du 25 septembre 2014, la Cour d’appel de Liège51 _{confirme le jugement d’instance ;} pourvoi est alors formé par l’éditeur.

L’arrêt de la Cour de cassation du 29 avril 201652 _{qui s’en est suivi, ne touche pas directement} à la question de la territorialité du droit à l’oubli en tant que telle, mais il est remarquable dans le sens où c’est la première fois que la Cour de cassation belge est appelée à se prononcer dans cette matière ensuite de l’arrêt « Google Spain »53_.

La Cour construit sa jurisprudence sur le droit à l’oubli en quatre points comme suit.

1. Les articles 10 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales et 19 du Pacte international relatif aux droits civils et politiques protègent la liberté d’expression.

49 _{C. DE TERWANGNE, « Droit à l’oubli ou droit à l’autodétermination informationnelle ? », op.cit.}

50 _{En remplaçant les lettres qui permettaient d’identifier le médecin en cause par la lettre X dans le corps de} l’article.

51 _{Cour d'appel Liège (20}ième _{ch.), 25 septembre 2014, J.L.M.B., 2014/41, p. 1952-1961.} 52 _{C.cass, 29 avril 2016, C.15.0052.F/2.}

53 _{Mais avant l’entrée en application le 25 mai 2018 de l’article 17 du Règlement (UE) 2016/679 du Parlement} européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, nommé communément le « RGPD ».

2. Ces dispositions autorisent des limitations à la liberté d’expression si elles sont prévues par la loi, si elles poursuivent un but légitime et si elles répondent à un impératif de proportionnalité.

3. Le droit au respect de la vie privée garanti par les articles 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales, 17 du Pacte international relatif aux droits civils et politiques et 22 de la Constitution, contient le droit à l’oubli numérique. 4. Sur ces bases légales, une ingérence dans le droit à la liberté d’expression peut être justifiée dans certaines circonstances.

Partant, la Cour de Cassation décide que :

« (l’) archivage numérique d’un article ancien de la presse écrite ayant, à l’époque des faits, légalement relaté des événements du passé désormais couverts par le droit à l’oubli ainsi entendu n’est pas soustrait aux ingérences que ce droit peut justifier dans le droit à la liberté d’expression.

Ces ingérences peuvent consister en une altération du texte archivé de nature à prévenir ou réparer une atteinte au droit à l’oubli ».

Il convient de souligner que l’altération du texte lui-même de l’article, et non seulement son déréférencement, est une solution qui, indirectement, apporte une réponse à la question de l’étendue de la territorialité du droit à l’oubli.

En effet, quelque ce soit le pays de localisation du moteur de recherche de type « Google », l’article résultant de toutes les recherches dans le monde entier sera affiché avec le même contenu, soit en l’espèce avec un contenu rectifié anonyme de l’auteur des faits relatés.

Cette solution ne peut être trouvée que lorsque le droit à l’oubli est revendiqué à l’encontre de l’éditeur responsable de l’article litigieux.

Force est de constater que cela se passe de manière différente chez nos voisins.

Ainsi, en France, les Cours et Tribunaux refusent de supprimer ou d’anonymiser les archives de presse numérique.

La Cour de cassation de France a eu à connaître d’une affaire qui peut être comparée en fait à celle qui a fait l’objet de l’arrêt de la Cour de cassation de Belgique le 29 avril 2016.

Dans un arrêt du 12 mai 201654_{, la Cour de cassation de France considère que la liberté de la} presse doit être privilégiée et elle a ainsi confirmé l’arrêt de la Cour d’appel de Paris.

Cette dernière avait retenu qu’excède les restrictions pouvant être apportées à la liberté de la presse, le fait d'imposer à un organe de presse, soit de supprimer du site internet dédié à l'archivage de ses articles, l'information elle-même contenue dans l'un de ces articles et les nom et prénom des personnes visées privant celui-ci de tout intérêt, soit d'en restreindre l'accès en modifiant le référencement habituel.

54 _{C. cass. (fr.), 12 mai 2016, 15-17.729, inédit disponible sur :}

Elle souligne également que l'archivage sur un site internet de ce type d’articles ne peut être assimilé à l'édition d'une base de données de décisions de justice.

Le demandeur avait fondé son action devant le Tribunal sur l'article 38 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Cet article 38 prévoit que toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

En Allemagne, la Cour fédérale de justice (BGH) a jugé que le droit à l’information du public et le droit à la liberté d’expression prévalent sur le droit à la réintégration sociale d’un meurtrier55_.

Du côté de l’Espagne, la Cour suprême estime que la suppression des noms des requérants cités dans d’anciens articles relatant leur condamnation était « disproportionnée ». La Cour relève que le droit à l’oubli ne peut pas conduire à la censure rétrospective des informations correctement publiées à l’époque des faits56_.

C. C

R

(UE)

2016/679

(RGPD)

Le 25 mai 2018 entrera en vigueur le Règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données57_{. Ce Règlement général sur la protection des données dit « RGPD », abroge la} Directive 95/46.

Le RGPD a pour but de moderniser et d’adapter les règles concernant la protection des données personnelles pour permettre une plus grande maîtrise aux citoyens de l’utilisation qui en est faite58_.

Il bénéficiera surtout, en tant que règlement, d’une applicabilité directe, c’est-à-dire qu’il ne nécessite pas de transposition en droit interne des Etats membres et il tendra vers une protection cohérente et homogène de la protection des données personnelles en faveur des citoyens sur le territoire européen59_.

55 _{Cour fédérale de justice allemande, 1}er _{février 2011, aff. IVI ZR 345/09.} 56 _{S.CARNEROLI, Le Droit à l’oubli, Bruxelles, Larcier, 2016, p. 59.}

57 _{Règlement (UE) n°2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à relatif à la protection des} personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

58 _{Communiqué de presse de la Commission concernant l’adoption du Règlement (UE), n°2016/679,} http://europa.eu/rapid/press-release_MEMO-15-6385_fr.htm.

L’article 17.1 du Règlement se lit comme suit.

« La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans

les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s’applique :

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement;

c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2;

d) les données à caractère personnel ont fait l'objet d'un traitement illicite;

e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis;

f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1 ».

L’article 17.1 du RGPD développe et précise le droit d’effacement qui se trouvait déjà en substance dans la Directive 95/46 en ses articles 6,1 e), 12, b) et 14.

Le législateur européen semble avoir été plus loin que la jurisprudence de la Cour de Luxembourg en imposant non pas un « déréférencement » de ladite information, mais bien un « effacement ».

Pour rappel, selon nous, seul l’effacement, permet l’oubli60_.

L’article 17.2 dispose que le responsable du traitement est tenu d’effacer les données personnelles qu’il a rendues publiques. Il doit également « compte tenu des technologies

disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d'ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l'effacement par ces responsables du

traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci ».

Cette mesure vise à renforcer « le droit à l’oubli numérique »61_{. Il s’agit d’une obligation} d’informer les personnes qui traitent des données controversées en aval du traitement initial 62_. Le point 3 de l’article pose une série de limitations quant à l’utilisation de ce droit.

Dans certains cas, on ne pourra pas faire droit à la demande d’effacement de données personnelles.

Il s’agit des cas en lien avec :

- l'exercice du droit à la liberté d'expression et d'information ;

- le respect d’une obligation légale qui requiert le traitement prévu par un dispositif légal auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;

- des motifs d'intérêt public dans le domaine de la santé publique ;

- des fins archivistiques dans l'intérêt public, des fins de recherche scientifique ou historique ou des fins statistiques ;

- la constatation, à l'exercice ou à la défense de droits en justice.

Ce droit à l’oubli au sens du RGPD n’est donc pas absolu et se heurte notamment, à l’exercice du droit à la liberté d’expression et d’information.

De même les points 1 et 2 du texte ne s’appliquent pas dans la mesure où le traitement est nécessaire à des fins archivistiques d’intérêt public, à des fins de recherche scientifique ou historique ou encore à des fins statistiques.

Compte tenu de ces exceptions, on peut se poser la question de l’effectivité de ce droit à l’effacement.

Ce problème d’effectivité peut en effet être bien réel au regard de ces limitations. L’avenir dira comment celles-ci seront interprétées.

Ce qui nous intéresse ici est la limite territoriale du droit à l’effacement des données personnelles.

L’exemple de la mise en œuvre du droit au « déréférencement » tel que reconnu par le Juge de Luxembourg est à l’origine d’importants désaccords entre l’Union européenne et les Etats-Unis63_.

61 _{Considérant 66 du RGPD.}

62_{DE TERWANGNE,C.,ROSIER,K. ET LOSDYCK,B., « Lignes de force du nouveau Règlement relatif à la protection} des données à caractère personnel », R.D.T.I., 2016/1, n° 62, p. 46.

63 _{DE CLERCQ,C. ET DECHAMPS,F., « Internet à l'épreuve du droit ou le droit à l'épreuve d'Internet – Une analyse} au regard de la problématique de l'étendue géographique du droit européen au déréférencement », op.cit.

Le droit à l’oubli du Règlement percute frontalement un principe quasi absolu du droit américain : la liberté d’expression64_.

Les Américains ont tendance à revendiquer leur souveraineté sur un réseau techniquement sans frontière. L’importance de la délimitation géographique du droit à l’oubli est bien réelle pour les défenseurs d’un internet à caractère global, libre et ouvert65_.

III.- L

IMITE TERRITORIALE

A. P

Se poser aujourd’hui la question de la portée territoriale du droit à l’effacement, c’est analyser le champ rationae loci du Règlement 2016/679 qui sera d’application le 25 mai 2018.

Cette question paraît centrale dans cette matière. En effet, la particularité extraordinaire de la thématique relève de sa portée mondiale.

Au regard d’une part des objectifs poursuivis – pour rappel, il s’agit de la protection des libertés et droits fondamentaux des personnes physiques66 _{– et du stockage des données personnelles} sur différents serveurs situés en différents endroits du globe (localisation souvent secrète d’ailleurs, protégée par le secret des affaires, de surcroît), avec la possibilité de les traiter et de les consulter au départ de n’importe quel ordinateur ou smartphone peu importe l’endroit où ils sont situés, d’autre part, la problématique de la territorialité prend un relief rarement rencontré jusque-là.

Dans ces circonstances, comment protéger mondialement le citoyen dans ses droits fondamentaux ?

Comment assurer leur protection dans ce contexte, éventuellement consacrée dans une décision de justice nationale qui devrait être exécutoire partout sur la planète ?

Comment sous ce paradigme, résoudre les questions de souveraineté, de conflits de lois et d’effet utile aux décisions de justice sans attendre l’issue incertaine d’interminables débats ?

64 _{BOIZARD, M., « La tentation de nouveaux droits fondamentaux face à Internet : vers une souveraineté} individuelle ? Illustration à travers le droit à l’oubli numérique » in Droits et souveraineté numérique en Europe, Bruxelles, Bruylant, 2016, p. 31-55

65 _{DE CLERCQ,C. ET DECHAMPS,F., « Internet à l'épreuve du droit ou le droit à l'épreuve d'Internet – Une analyse} au regard de la problématique de l'étendue géographique du droit européen au déréférencement », op. cit.. 66 _{Article 1.2 RGPD.}

Il est intéressant d’observer la difficulté qu’a engendré la mise en œuvre effective de la jurisprudence Google Spain.

En effet, le droit au « déréférencement » tel qu’accordé par le Juge de Luxembourg sur base de la Directive 95/46 pose des problèmes d’applicabilité non pas techniques67_{, mais bien} juridiques.

Il est opportun d’analyser dans un premier temps, comment la Cour a appréhendé le champ d’application territorial de la Directive 95/46.

Ensuite, dans un second temps, on verra comment Google a mis en œuvre la décision de la Cour et les problèmes d’effectivité de cette mise en œuvre.

B. G

S

Le cœur de la problématique s’impose d’entrée de jeu dans le développement du raisonnement de la Cour : Google est mondial.

Google indexe les sites internet du monde entier et les informations sont stockées sur des serveurs localisés en des endroits non connus sous le couvert du secret des affaires.

La maison mère du groupe est basée en Californie, aux Etats-Unis d’Amérique. Elle détient un nombre important de filiales partout dans le monde, ayant essentiellement pour objet de promouvoir, de faciliter et d’effectuer la vente de produits et de services de publicité en ligne à des tiers ainsi que le marketing de cette publicité.

C’est le cas de Google Spain, société de droit espagnol dont le siège social est à Madrid et qui, par ailleurs, est désignée auprès des autorités nationales comme responsable du traitement de fichiers en Espagne. Il s’agit de fichiers spécifiques qui contiennent uniquement les données des clients de Google Spain ayant conclu des services publicitaires.

Dans ce contexte, il est légitime d’identifier quelle entité juridique (Google Spain ou Google international) doit être considérée comme l’établissement au sens de l’article 4, paragraphe 1, sous a) de la Directive 95/4668_.

67 _{Encore que la faisabilité de supprimer des données numériques peut s’avérer complexe. Elles peuvent,} notamment avoir déjà été copiées et/ou envoyées à des tiers ce qui rend difficile le traçage et la suppression effective de celles-ci. Cela peut également poser des difficultés dans des environnements d’intelligence artificielle et de machine learning. voy not.: M. L. AMBROSE,J.AUSLOOS,« The right to be forgotten across the pond »,

Journal of Information Policy, 2013 (3), p. 18.; E.VILLARONGA,P.KIESEBERG,T.LI, « Humans forget, machines

remember: artificial intelligence and the right to be forgotten », Computer Law & Security Report, Octobre 2017. 68 _{Article 4 de la Directive 95/46 :}

« Droit national applicable

1. Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque :

a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre ; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ;

La Cour construit son raisonnement en prenant appui sur l’objectif de la Directive 95/46 qui est

« d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel »69_.

Selon la Cour, de cet objectif combiné avec le libellé de l’article 4 de la Directive 95/46, il en découle que le traitement de données à caractère personnel qui est fait pour les besoins du service d’un moteur de recherche exploité par une entreprise ayant son siège dans un État tiers mais disposant d’un établissement dans un État membre, « est effectué ‘dans le cadre des

activités’ de cet établissement si celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur »70 _.

Ainsi, la Cour cherche à rendre efficace (effet utile)71 _{les protections des droits fondamentaux} contenues dans la Directive 95/46 en ciblant une entité juridique qui se trouve dans son champ d’application territorial.

Il est intéressant de souligner l’approche différente de celle de la Cour suprême du Canada72_. Compte tenu du champ d’application du nouveau RGPD (article 373_{), la question se pose de} savoir si le Juge de Luxembourg tiendra encore à l’avenir le même raisonnement.

C. M

1) Application par Google

Google n’a pas tardé à se conformer à la décision de l’arrêt du Juge de Luxembourg.

Dès le 29 mai 2014, elle a mis à disposition des formulaires permettant à toute personne concernée de demander le « déréférencement » du lien litigieux. Elle a également institué un comité consultatif dont les recommandations ont eu pour vocation à servir de base à

b) le responsable du traitement n'est pas établi sur le territoire de l'État membre mais en un lieu où sa loi nationale s'applique en vertu du droit international public ;

c) le responsable du traitement n'est pas établi sur le territoire de la Communauté et recourt, à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés qu'à des fins de transit sur le territoire de la Communauté.

2. Dans le cas visé au paragraphe 1 point c), le responsable du traitement doit désigner un représentant établi sur le territoire dudit État membre, sans préjudice d'actions qui pourraient être introduites contre le responsable du traitement lui-même. 69 _{Point 53 de l’arrêt.} 70 _{Point 55 de l’arrêt.} 71 _{Voy. : infra.} 72 _{Voy. : infra.} 73 _{Voy. : infra.}

l’élaboration de lignes directrices et ainsi mettre en place un droit au déréférencement homogène suivant des critères prévisibles.

Ce faisant la société californienne respecte le prescrit du point 77 de l’arrêt stipulant qu’il appartient au responsable du traitement de « dûment examiner le bien-fondé de [la demande]

et, le cas échéant mettre fin au traitement des données en cause »74_.

Il appartient donc à Google d’examiner au cas par cas les demandes et de procéder à la mise en balance des intérêts et droits concurrents75_.

On y voit un mécanisme de co-régulation du droit où il est demandé à une entreprise privée, débiteur de l’obligation légale, d’atteindre un résultat déterminé.

Dans le domaine de la protection des données à caractère personnel, ce phénomène de co-régulation est également décliné avec la mise en place d’un organe consultatif européen indépendant76 _{« Groupe de travail Article 29 sur la protection des données » (ci-après, GR29)}77_. Google supprimerait les liens dans tous les résultats Google effectués en Europe (résultats fournis pour les utilisateurs basés en Allemagne, Belgique, Espagne, France, … etc.). Elle utiliserait des signaux de géolocalisation pour restreindre l'accès aux liens dans le pays du demandeur78_.

En d’autres termes, Google se servirait de l’adresse IP79 _{de l’utilisateur pour bloquer l’affichage} du lien concerné.

Concrètement, un utilisateur situé en Belgique faisant une recherche sur n’importe quelle extension du moteur de recherche (google.be, google.ca, google.us, google.com) verrait sur son écran les seuls liens qui n’ont pas fait l’objet d’un déréférencement80_.

Préalablement à ce système de géolocalisation, la firme de Mountain View ne bloquait l’apparition des liens en question que lorsque qu’ils étaient demandés à partir d’une version européenne du moteur de recherche81_.

Dès lors, il suffisait d’effectuer la même recherche à partir d’une extension non européenne du moteur de recherche pour voir apparaître les liens non déréférencés mais non plus accessibles à partir des moteurs de recherche « européens »82_.

74 _{C.J.U.E, Google Spain, point 77.}

75 _{DE CLERCQ,C.etDECHAMPS,F., « Internet à l'épreuve du droit ou le droit à l'épreuve d'Internet – Une analyse} au regard de la problématique de l'étendue géographique du droit européen au déréférencement », op. cit. 76 _{Dont les missions sont définies par les article 29 et 30 de la directive 95/46.}

77 _{Qui sera remplacé par le « Comité européen de la protection des données » à l’entrée en vigueur du Règlement} 2016/679.

78_{https://transparencyreport.google.com/eu-privacy/overview?hl=fr. Technique dite du « géo-blocage ».}

79 _{Une adresse (avec IP pour Internet Protocol est un numéro d'identification qui est attribué de façon permanente} ou provisoire à chaque branchement à un réseau informatique utilisant l’Internet Protocol.

80 _{Pour peu que l’utilisateur n’utilise pas un VPN (Virtual Private Network) qui emprunterait un IP provenant d’un} pays situé hors de l’Union européenne.

81 _{ccTLD (country code top level domains), Google estimant que 95% de ses utilisateurs utilisent la version} nationale du moteur pour effectuer leur recherche. Voir P. FISCHER dans ses réponses au questionnaire de GR 29

sur l’implémentation de la décision de la CJUE sur « le droit à l’oubli », 31 juillet 2014,

https://docs.google.com/file/d/0B8syaai6SSfiT0EwRUFyOENqR3M/edit?pli=1 , p.4. 82 _{Par exemple, effectuer la recherche à partir de google.us ou google.com.}